Overzicht. Belang van computer beveiliging. I. Inleiding Computer Beveiliging. Wie ben jij, en wat ga jij daar doen?

Transcriptie

1 Wie ben jij, en wat ga jij daar doen? Bart Jacobs bart. Nijmeegs Instituut voor Informatica & Informatiekunde Overzicht I. Inleiding computer beveiliging II. Chipknip III. uthentificatie van personen IV. uthentificatie van computers V. Voorbeelden Wie ben jij, en wat ga jij daar doen? (p.1 of 19) Wie ben jij, en wat ga jij daar doen? (p.2 of 19) I. Inleiding Computer Beveiliging Belang van computer beveiliging inds 11/9 is algemene aandacht voor beveiliging toegenomen Ook binnen informatica high profile onderwerp: Mislukte chat van Willem-lexander & Maxima Pinpas fraude Problemen met browsers & internet bankieren Overheid, bedrijven en burgers worden steeds meer afhankelijk van: veilige verbindingen, privacy, bescherming van informatie/copyright, digitale handtekening, identificatie, electronisch stemmen, etc. Nijmeegse nadruk op chipkaarten. Wie ben jij, en wat ga jij daar doen? (p.3 of 19) Wie ben jij, en wat ga jij daar doen? (p.4 of 19)

2 Waar gaat beveiliging eigenlijk over? beveiliging = regulering van toegang In the Engels: ecurity is about regulating access to assets Voorbeeld Een computervirus vormt een beveiligingsprobleem als het ongeoorloofde toegang weet te krijgen tot informatie en programma s. Hoe reguleer je toegang? 1. uthentificatie: Controleer wie je tegenover je hebt: wie ben jij? 2. uthorisatie: Controleer wat diegene mag: wat ga jij daar doen? Dit vakgebied heeft een hoog usweis! gehalte, maar gelukkig gaat meestal over computers onderling. Wie ben jij, en wat ga jij daar doen? (p.5 of 19) Wie ben jij, en wat ga jij daar doen? (p.6 of 19) Chipknip schaduwboekhouding II. Chipknip (demo) Postbank voorwaarden Chipknip, artikel 2.8: Een Chipknip die onbruikbaar is geworden geeft, na inlevering van de Kaart, alleen recht op terugbetaling aan de Chipkniphouder van het Chipknipsaldo. Indien de Bank de Kaart door een technisch defect daarvan niet kan onderzoeken, en de Chipkniphouder de Kaart binnen twaalf maanden na de laatste laad- of betaalhandeling heeft ingeleverd bij de Bank, zal de Bank na verloop van acht weken na inlevering het Chipknipsaldo berekenen aan de hand van de laad-betaalgegevens van de Chipknip. Het aldus berekende Chipknipsaldo zal de Bank aan de Chipkniphouder ter beschikking stellen. Wie ben jij, en wat ga jij daar doen? (p.7 of 19) Wie ben jij, en wat ga jij daar doen? (p.8 of 19)

3 Chipknip aansprakelijkheid Postbank voorwaarden Chipknip, artikel 8.2 d: In geval van opzet, grove schuld of grove nalatigheid aan de zijde van de Chipkniphouder is de Chipkniphouder onbeperkt aansprakelijk, een en ander onverminderd de verplichting van de Bank om (de mogelijkheid van) schade te beperken. Chipknip lessen Beveiliging (van computers) vraagt om de juiste mix van: Technische maatregelen: cryptografische protocollen, beveiligde hardware Organisatorische maatregelen: schaduwboekhouding, maximum bedrag op de kaart Juridische maatregelen: aansprakelijkheid van kaarthouder Vergelijk: gewone / electronische handtekening, credit cards, bankpassen,... ecurity is multi-disciplinair. Typisch in Informatiekunde opleiding. Wie ben jij, en wat ga jij daar doen? (p.9 of 19) Wie ben jij, en wat ga jij daar doen? (p.10 of 19) III. uthentificatie van personen Wie ben jij? Identiteit van personen wordt vastgesteld op basis van: Iets wat je hebt Voorbeeld gewone sleutel, airmilespas Risico (on)vrijwillige overdracht, copieëren Iets wat je weet Voorbeeld paswoord, PIN Risico afkijken, raden, beheer Iets wat je bent Voorbeeld vingerafdruk, irisscan, DN Risico false positives/negatives, privacy Wie ben jij, en wat ga jij daar doen? (p.11 of 19) Minstens twee hiervan nodig! Wie ben jij, en wat ga jij daar doen? (p.12 of 19)

4 IV. uthentificatie van computers Cryptografie Cryptografie is de wiskunde van het onleesbaar en weer leesbaar maken van boodschappen. Voorbeeld:... tandaard manier: twee partijen hebben gemeenschappelijke cryptografische sleutel, en kunnen daarmee coderen: boodschap wordt decoderen: wordt Geeft confidentialiteit & integriteit Ook mogelijk public key crypto: ieder partij heeft publieke en privé sleutel. Wie ben jij, en wat ga jij daar doen? (p.13 of 19) Wie ben jij, en wat ga jij daar doen? (p.14 of 19) Crypto authentificatie tel en zijn computers met gemeenschappelijke sleutel wil iets van, maar wil eerste zeker weten dat het verzoek van komt Idee: geeft eerst een raadsel, dat alleen met op te lossen is en dus alleen door. Protocol / cenario: hi, I m ; please do... V. Voorbeelden ( is groot random getal) vertrouwt het nu, en doet... Wie ben jij, en wat ga jij daar doen? (p.15 of 19) Wie ben jij, en wat ga jij daar doen? (p.16 of 19)

5 Chipknip betaling (versimpeld) Het hele systeem heeft een Master Key. zit in alle betaalterminals, maar niet in kaarten. Iedere chipknip heeft gediversificeerde sleutel, bijv. Kaartnr. van Iedere terminal kan dus berekenen. Betaal protocol fragment: Identiteit & Integriteit zijn beveiligd hoi, ik ben een chipknip met kaartnr. schrijf af: bedrag, bedrag Wie ben jij, en wat ga jij daar doen? (p.17 of 19) Voorbeeld: 4 protocollen voor electronische autosleutel Lees = uto, = uto leutel in: (1) Identificatie nummer (2) Versleutelde versie van (1) IdNr IdNr ( is gedeelde crypto sleutel) (3) equence nummer (4) Challenge-response ( is laatst gebruikte nummer) open Wie ben jij, en wat ga jij daar doen? (p.18 of 19) Conclusies Computer security is: Leuk en spannend, breed (van wiskunde tot rechten) hoogst actueel terk vertegenwoordigd in Nijmegen! lides beschikbaar op: bart/tlk/ Wie ben jij, en wat ga jij daar doen? (p.19 of 19)